雷神眾測漏洞周報2022.03.28-2022.04.05-4
聲明
以下內(nèi)容，均摘自于互聯(lián)網(wǎng)，由于傳播，利用此文所提供的信息而造成的任何直接或間接的后果和損失，均由使用者本人負責(zé)，雷神眾測以及文章作者不承擔任何責(zé)任。
雷神眾測擁有該文章的修改和解釋權(quán)。如欲轉(zhuǎn)載或傳播此文章，必須保證此文章的副本，包括版權(quán)聲明等全部內(nèi)容。聲明雷神眾測允許，不得任意修改或增減此文章內(nèi)容，不得以任何方式將其用于商業(yè)目的。
目錄
1. Spring Framework遠程代碼執(zhí)行漏洞
2. Spring Cloud Function存在SPEL表達式注入漏洞
3. Microsoft Dynamics權(quán)限提升漏洞
4. Microsoft Roaming Security Rights Management Services遠程代碼執(zhí)行漏洞
漏洞詳情
1.Spring Framework遠程代碼執(zhí)行漏洞
漏洞介紹：
近期安恒信息CERT監(jiān)測到Spring官方發(fā)布安全公告，披露了一個Spring框架可在JDK>=9版本下實現(xiàn)遠程代碼執(zhí)行的漏洞(CVE-2022-22965)。
漏洞危害：
Spring框架可在JDK>=9版本下實現(xiàn)遠程代碼執(zhí)行。
漏洞編號：
CVE-2022-22965
影響范圍：
(1)使用JDK>=9
(2)Spring開發(fā)或衍生框架開發(fā)（存在spring-bean*.jar）
spring-framework < v5.3.18
spring-framework < v5.2.20.RELEASE
修復(fù)方案：
目前Spring官方已發(fā)布安全補丁，建議及時更新Spring至官方最新安全版本來修復(fù)此漏洞
來源：安恒CERT
2.?Spring Cloud Function存在SPEL表達式注入漏洞
漏洞介紹：
Spring Cloud Function是基于Spring Boot的函數(shù)計算框架。
漏洞危害：
Spring Cloud Function存在SPEL表達式注入漏洞，攻擊者可利用該漏洞通過SPEL表達式注入的方式在遠程執(zhí)行注入攻擊。
影響范圍：
Spring SpringCloudFunction>=3.0.0.RELEASE，<=3.2.2
修復(fù)建議：
及時測試并升級到最新版本或升級版本
來源：CNVD
3.Microsoft Dynamics權(quán)限提升漏洞
漏洞介紹：
Microsoft Dynamics是美國微軟（Microsoft）公司的一套適用于跨國企業(yè)的ERP業(yè)務(wù)解決方案。該產(chǎn)品包括財務(wù)管理、生產(chǎn)管理和商業(yè)智能管理等。
漏洞危害：
Microsoft Dynamics GP存在權(quán)限提升漏洞，目前沒有詳細的漏洞細節(jié)提供。
漏洞編號：
CVE-2022-23272
影響范圍：
Microsoft Microsoft Dynamics GP
修復(fù)建議：
及時測試并升級到最新版本或升級版本
來源：CNVD
4. Microsoft Roaming Security Rights Management Services遠程代碼執(zhí)行漏洞
漏洞介紹：
Microsoft Roaming Security Rights Management Services是美國微軟（Microsoft）公司的一個漫游安全權(quán)限管理服務(wù)。
漏洞危害：
Microsoft Roaming Security Rights Management Services存在遠程代碼執(zhí)行漏洞，目前沒有詳細的漏洞細節(jié)提供。
漏洞編號：
CVE-2022-21974
影響范圍：
Microsoft Windows 10 1607
Microsoft Windows Server 2016 null
Microsoft Windows Server 2019
Microsoft Windows 10 1909
Microsoft Windows 10 20H2
Microsoft Windows Server 20H2
Microsoft Windows 10 21H1
Microsoft Windows Server 2022
Microsoft Windows 11
Microsoft Windows 10 21H2
修復(fù)建議：
及時測試并升級到最新版本
來源：CNVD
專注滲透測試技術(shù)
全球最新網(wǎng)絡(luò)攻擊技術(shù)